di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

プラットフォームの概要

エンドポイント セキュリティ

エンドポイントの先にあるもの

製品

ランサムウェアの予防

ゼロデイ攻撃の防止

ファイルレス攻撃の阻止

EPPの有効性の向上

EDRでは不十分

ソリューション

サイバーセキュリティにおける深層学習

Deep Instinctのお客様

Deep Instinctが信頼される理由

Deep Instinctについて

採用

お問い合わせ

ニュース

会社概要

カタログ/資料

ブログ

デモ動画

トレーニング

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

クイックリンク

アプリケーション向けの対策

+ Microsoft Defender

従来のAVを置き換える

カタログ・資料

オンラインセミナー

リーダーシップメンバー

ボードメンバー

国内販売代理店

パートナ

content_block

Perspective & Findings

ブログを読む

Emotetの休暇は終了：悪い奴は休まない

emotet-blog2.png

Listing preview

Perspective & Findings

Emotetの休暇は終了：悪い奴は休まない

image_media_card

新しいMuddy Waterの脅威：新しい泥水はさらに濁っている

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

EDR では不十分な８つの理由

マルウェアローダー「Bumblebee」の闇

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

malicious-JARs-blog.png

2022年を通じてDeep Instinctは、悪意あるJARを持つ<a href="https://en.wikipedia.org/wiki/Polyglot_(computing)" target="_blank">polyglot</a>ファイルのさまざまな組み合わせを確認しました。最初の手法は少なくとも2018年頃、署名付きMSIファイルを使用してMicrosoftのコード署名検証をバイパスしていました。2019年、Virus TotalはMSI+JARのpolyglot テクニックについて書きましたが、Microsoftはその時点でこの問題を修正しないことを決定しました。<a href="https://www.securityinbits.com/malware-analysis/interesting-tactic-by-ratty-adwind-distribution-of-jar-appended-to-signed-msi" target="_blank">2020</a>年、このテクニックは悪意あるキャンペーンで悪用されたため、Microsoftが<a href="https://medium.com/@TalBeerySec/glueball-the-story-of-cve-2020-1464-50091a1f98bd" target="_blank">CVE-2020-1464</a>を割り当て、この問題を修正しました。修正されたにもかかわらず、Deep Instinctは2022年にこの手法がまだ使用されており、必ずしもCVEを悪用しない新しいタイプの polyglotが含まれていることを観察しました。むしろ、攻撃者は現在、JARファイル形式を適切に検証しないセキュリティソリューションを混乱させるためにpolyglotテクニックを使用しているのです。<h3>polyglotとは？</h3>polyglotファイルは、少なくとも2つのファイル形式を、それぞれの形式がエラーなく解釈できるように組み合わせることによって構成されます。任意のファイル形式の組み合わせからpolyglotを作ることができるわけではないため、少し面倒ですが、かなり多くの<a href="https://github.com/Polydet/polyglot-database" target="_blank">選択肢</a>の中から選ぶことができます。<h3>JARとは？</h3><a href="https://en.wikipedia.org/wiki/JAR_(file_format)" target="_blank">JAR</a>ファイルは基本的にZIPアーカイブです。ZIPファイルについて特別なことは、ZIPファイルはアーカイブの最後に位置するend-of-centralディレクトリレコードの存在によって正しく識別されることです。これは、私たちがファイルの始めに追加したどんな「junk」も無視され、アーカイブはまだ有効であることを意味します。この2つを組み合わせると、有効なMSIと有効なJARの両方を持つファイルができあがります。他のファイル形式では、ファイルの先頭に特別なマジックヘッダがあり、JARとは異なり、最初から読み込まれる必要がありますが、これらの形式の1つがMSIです。<h3>2022のキャンペーン</h3>2022年、Deep Instinctは、<a href="https://www.jaiminton.com/reverse-engineering/strrat" target="_blank">StrRAT</a>と<a href="https://www.youtube.com/watch?v=YJ8PZ6elyLE" target="_blank">Ratty</a> のサンプルが、polyglotとして、またはjunkを先頭に付加したJARファイルとして配布されていることを確認しました。両方のRATは既知の脅威であり、StrRATについては設定抽出ツールがあり、Rattyについては私たちが独自に設定抽出ツールを作成し、GitHubコミュニティにも共有しています。 <a href="https://github.com/deepinstinct/RattyConfigExtractor" target="_blank">https://github.com/deepinstinct/RattyConfigExtractor</a>これらのファイルが単一の脅威者のものか、複数の脅威者のものかは判断できませんでしたが、多くのサンプルでブルガリアのホスティング会社「BelCloud LTD」の利用が確認されました。また、RattyとStrRATのサンプルには、同じC2サーバを共有しているものがいくつか見受けられました。簡単にするために、ファイルに付加されている内容で分類します。<h3>#1 MSI:</h3>サンプル 5e288df18d5f3797079c4962a447509fd4a60e9b76041d0b888bcf32f8197991Linuxのfileコマンドでファイルを検査すると、このファイルはMSIファイルであると書かれていることがわかります：<figure style = "margin: auto; text-align: center;width: 614px;"><img asset_uid="blt2e9f9f745ae627ca" alt="図1：LinuxのファイルがサンプルをMSIファイルとして識別している様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2e9f9f745ae627ca/63bee84a47588310a1913f9b/fig1-linux-file-indentifies-sample-as-msi-file.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図1：LinuxのファイルがサンプルをMSIファイルとして識別している様子</figcaption></figure>しかし、このファイルには有効なJARも含まれており、我々のRatty設定抽出ツールは、C2サーバ情報を正常に抽出することができました。このサンプルは、<a href="https://sendgrid.com/" target="_blank">Sendgrid</a>を使用して送信されていることが確認されていますが、これは特別なことではなく、MSI+JARpolyglot を使用したStrRATサンプルの一部もSendgridを使用して送信されています。MSI+JARpolyglot を使用したStrRATサンプルの一部は、cutt.lyやrebrand.lyなどのURL短縮サービスを使って拡散されていることが確認されています。また、サンプルはDiscord上でホストされているケースもありました。<h3>#2 CAB:</h3><a href="https://www.file-recovery.com/cab-signature-format.htm" target="_blank">CAB</a> ファイルは独自のマジックヘッダを持ち、最初から最後まで解釈されるため、JARファイルとのpolyglot には最適な候補となります。RattyとStrRATの両サンプルがCAB+JARのpolyglot を使用しているのを確認しました。特に、Rattyのサンプルであるf620c4f59db31c7f63e8fde3016a33b3bfb3934c17874dcfae52ca01e23f14de と StrRAT サンプルである　2f4c6eb0a307657fb46f4a8f6850842d75c1535a0ed807cd3da6b6678102e571 は共にCAB+JAR polyglotを使用し、同じC2サーバーdonutz.ddns[.]netを使用しています：<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltfb077af360e7081e" alt="図2：StrRATとRatty（CAB+JAR）が同じC2サーバdonutz.ddns[.]netにリンクしている様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltfb077af360e7081e/63bee84a7a6762171d821d17/fig2-strRAT-and-Ratty-linked-to-the-same-c2-server.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：StrRATとRatty（CAB+JAR）が同じC2サーバdonutz.ddns[.]netにリンクしている様子</figcaption></figure><h3>#3 HEX Trash / Fake PE:</h3>脅威者が誤って作ったのか、それとも意図的に作ったのかはわかりませんが、これらのJARファイルには、HEX値が付加されています。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt05d5b955bdf7dc33" alt="図3：HEX値が付加されたサンプル19154b831614211de667c2aedd6a4b5b89d4bfc1e129eb402a6300ad2e156dcf" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt05d5b955bdf7dc33/63bee84a98b11c3ccecf6af5/fig3-sample-with-hex-values-appended.png" /><figcaption style = "text-align: center;" style="text-align: center;">図3：HEX値が付加されたサンプル19154b831614211de667c2aedd6a4b5b89d4bfc1e129eb402a6300ad2e156dcf</figcaption></figure>この16進数の値は、実行可能なファイルであり、これらのファイルは、添付された16進数が単なる「junk」テキストであるため、polyglot ではありませんが、Linuxの”file”コマンドは、そのようなファイルのファイルタイプとして「データ」を返します。こうすれば、攻撃者はLinuxの "file "コマンドを使用してファイルの種類をチェックするセキュリティ・ソリューションを混乱させ、回避することができるのです。<h3>#4 Binary Junk:</h3><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt8585c56be6e04e2b" alt="図4：バイナリデータを付加したサンプル8d801f58d10ddbc52739fa35aa862286c3fe9606411f0e5f7b8b3fd71f678cad" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt8585c56be6e04e2b/63bee84ad7b1d54534245dfa/fig4-sample-with-appended-binary-data.png" /><figcaption style = "text-align: center;" style="text-align: center;">図4：バイナリデータを付加したサンプル8d801f58d10ddbc52739fa35aa862286c3fe9606411f0e5f7b8b3fd71f678cad</figcaption></figure>この内容は、ポリグラフを目的としたものではないため、これがミスなのか、それとも意図的に行われたものなのかは不明です。追記された内容は何らかのバイナリの一部であるようですが、追記されたデータは追記されたファイルの先頭が欠落しているようです。最終的な結果は同じで、ファイルタイプをチェックすることで「データ」として検出される有効なJARファイルです。<h3>この手法は攻撃者にとって有用だと思いますか？ (もちろんです！) </h3>RattyとStrRATはよく知られた脅威ですが、これらの付加されたJARファイルのいくつかは、VirusTotalでは非常に低い検知率を示しています。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt14594c18eb515964" alt="図5：CAB+JA Rpolyglot の低い検知率" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt14594c18eb515964/63bee84aab6fbb46e5b71f9c/fig5-low-detection-rate-for-cab-jar-polyglot.png" /><figcaption style = "text-align: center;" style="text-align: center;">図5：CAB+JA Rpolyglot の低い検知率</figcaption></figure>VirusTotalの検知率は、特定のベンダーの真の検知能力を示すものではありません、ファイルが動的に実行された場合の挙動が異なる製品もあるからです。とはいえ、コンテンツが追加されたJARファイルは、既知の脅威であっても、少なくとも実行されるまでは検知されないことがあることは明らかです。<h3>これ以上の悪用を避ける方法はあるのでしょうか？ (もちろんあります！)</h3>もし、Linuxの "file "コマンドのような単純なファイルタイプチェックに頼ってJARファイルを識別できなかったとしたら、簡単な解決策は、JAR拡張子を持つすべてのファイルを「スキャン」することだけでしょう。しかし、これではまだ十分ではありません。JAVAはファイル拡張子を気にせず、どんな拡張子を持つ有効なJARファイルでも喜んで実行します。拡張子".jar "の名前を変更する唯一の欠点は、JARを単にクリックして実行するのではなく、コマンドラインから実行する必要があることです。私たちは、HTML+JARのpolyglot を作成し、これを実証しています：<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt234fc58952190333" alt="図6：拡張子がhtmlのHTML+JARポリグラフがブラウザで適切に表示され、JREで適切に実行される様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt234fc58952190333/63bee84a438f80612c397515/fig6-html-jar-polyglot-with-html-extension-properly-rendered-in-the-browser-and-properly-executed-by-jre.png" /><figcaption style = "text-align: center;" style="text-align: center;">図6：拡張子がhtmlのHTML+JARポリグラフがブラウザで適切に表示され、JREで適切に実行される様子</figcaption></figure>このファイルは、<a href="https://github.com/deepinstinct/RattyConfigExtractor" target="_blank">Ratty</a>マルウェア設定抽出ツールとともに、弊社の<a href="https://github.com/deepinstinct/JAR-Polyglot-POC">GitHub</a>でも公開しています。<h3>まとめ</h3>JARファイルの適切な検出は、静的および動的の両方であるべきです。なぜなら、すべてのファイルをスキャンして、ファイル末尾の中心ディレクトリレコードの存在を確認するのは非効率的だからです。防衛者は、「java」プロセスと「javaw」プロセスを監視し、そのプロセスが引数として”-jar”を持つ場合、引数として渡されたファイル名は、ファイル拡張子やLinuxの”file”コマンドの出力にかかわらず、JARファイルとして扱われるべきです。また、インシデント対応者やサイバーコミュニティの皆様は、感染時にDeep Instinct社が提供するRattyマルウェア設定パーサーを使用して、迅速にIOCを取得し、改善策を講じることができます。<h3>MITRE ATT&CK:</h3><table><thead class="bg-grey"><tr><th style="width: 15%;">タクティクス</th><th>テクニック</th><th>概要</th><th>オブサーバブル</th></tr></thead><tbody><tr><td>初回アクセス</td><td>T1566.002 Phishing: Spearphishing Link</td><td>攻撃者は、ペイロードに誘導するURL短縮サービスを利用します</td><td>Rebrand[.]ly/afjlfvp</td></tr><tr><td>防衛回避</td><td>T1036.001 Masquerading: Invalid Code Signature</td><td>攻撃者は、署名されたMSIファイルを追加します</td><td>85d8949119dad6215ae0a21261b037af</td></tr><tr><td>防衛回避</td><td>T1027.001 Obfuscated Files or Information: Binary Padding</td><td>攻撃者は、ファイルの先頭にジャンクデータを追加し、"file" コマンドが異なるファイルタイプを返すようにします</td><td>cb17f27671c01cd27a6828faaac08239</td></tr><tr><td>コマンド コントロール</td><td>T1102 Web Service</td><td>攻撃者は、Discordのコンテンツデリバリーネットワーク（CDN）を利用してマルウェアを配信しています</td><td>https://cdn[.]discordapp[.]com/attachments/938795529683480586/941658014962823208/Package_info[.]jar</td></tr></tbody></table>&nbsp;<h3>IOC:</h3>d51d269b62e55d4af8a4bd72dcf3c5115ad27fe5466640041c658c0325194451534a4b0e17723755dd8cbdcdec309004ef59c3dfacb87fac86da4548780d2f1b08921a6b0b2903b9c991acb869930c7cab3cbaf11e002be9c88400af48c3fa2159a02230a78b87c97eebbf7cdba40ea17c7d9411d706fd255c2a6a025584fd9fa9ac4ae704da346a0f3d2960b084d8f314c0fd60a934116e3c75647c713314b647fc7fc1658acfa2f7a0b388bea6b52787f186bf8297ce189a575d547dfbd8e0a80add76ff8ad0e1c3bdab9459546fd724e1f4034248d1542aec1264c02d3857f0e57c84ba1958cabf24cfec4a0d50be6b7bc0e45c639d08a53097494373ae9ee7812ff64dbe51584d3090e008b464510dbb87ac860c68d89e224621755021f941ef2dfa736e9a24a1a29a373357ac249dad99f86f1cc0283ddd4765fa14e54a8d801f58d10dbcd52739fa35aa862286c3fe9606411f0e5f7b8b3fd71f678cadf79ba296aeab13be409ee3ef435f47a8888f7186a062fa481603ec32f3d6b678262e6824f0c4c765e73a7041362d7a3a8d63dab1be91ecf5e80623ac6e2f389eb6a0dcd8c9bc11794837e8f9350e2816ae7a60d148f3e6f436c2645f450feeabf620c4f59db31c7f63e8fde3016a33b3bfb3934c17874dcfae52ca01e23f14de54814775c2f266cafe3d4ddc58bc400360aad8cea95e0d3ee74ceceb927cb3b82f4c6eb0a307657fb46f4a8f6850842d75c1535a0ed807cd3da6b6678102e57174c8d5e01e2bb52c6f5cd7863168085ff81bea970b5309ec180c2e1a299096dff2b36a7df3d0b4d63bbbc529b7a27282e5626300e1353d2596866e4a82165f644f00914f63181c0afbfff41a95f5f1364c61d78ffb250ec8ef3102b3d3bd7003a989289cd6df1b1c38dbda84eb3b286bb8fb7a2af9beb1e55b029dbf861bac83521a2e7ee2558d83e29bceb68a8c4ea0ecce4bddcb05cc0d3b0365522f126d1f19154b831614211de667c2aedd6a4b5b89d4bfc1e129eb402a6300ad2e156dcfe3be7066e6922d7460dea80ca5b7fef8f4abc7b1f056d8f329c03b306e8ca9b0788f1abb67d6f21cf299e2f67a2b414d169e8ab16cc8a61bf698e5c7f14829995e288df18d5f3797079c4962a447509fd4a60e9b76041d0b888bcf32f81979910c14d804efe1db9377bfe3d5e06ba37a4817cc4bd0f6404ed7d705219295e8151056554bca75450d07fcc5df7c1ca4686a2fefbe76cc9fb60343364678ca8744f2d7e93978c0991e376466810adf18262e4a7fb2864c7a87f22e3fa71adb6519496251bb063e4ee3769139a34ccfbdd81ba52b004836da7aaabd5e5e67f87478d00d85589908ba95536822dea356afb5a9148628a7e2207c6e850024c0ba434d928551a303110983871266af840df71bf7427dcff242688c105f04d4aa87806be2d67077cbcab70d47a95b8da25a2a35fe1f1099ed71d8b06f8e78dd741fc2b7d0703f8f70aff6e3975f3b7c8d037b5a0d3d1b8e4a91b2a6c65227c7932dded59e0468a7249fd6bc2b911434b0c7afa2a9d92473e2402a1a3ad357119c579d63fe72f76f147bce32338a4b0b88c3d59dd3e85406ab1b3b273aab7cb7227fae52964eceee84de3d0b8b3565100c1e45dab1b4b5ff7c61f03a198a56714c03ca32d8c04d3a6e6e5058c10a56890a9dcf41ac5e47a22dc1002e89415ee0f37c7f05

悪意のあるJARファイルとPolyglot ファイル:  悪性JARって何なんジャー


Deep Instinctが新しいMuddyWater(意味：泥水。スラングで“物事を理解しにくくするために関係ないことを持ち出す“という意味もある)の脅威キャンペーンを発見しました。この脅威の分析を紹介します。

MuddyWater-Blog.png

Polonium-APT-Group-blog.png

ポロニウムAPTグループの活動は、2022年6月に<a href="https://www.microsoft.com/en-us/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/" target="_blank">マイクロソフト</a>によって初めて検知されました。このグループはレバノンを拠点とし、専らイスラエル企業を攻撃しています。このグループの名前は周期表の化学元素に由来しています。<a href="https://en.wikipedia.org/wiki/Polonium" target="_blank">「ポロニアム</a> はカルコゲンの一種。安定同位体を持たない希少で高放射能な金属。」2022年10月初旬、<a href="https://www.welivesecurity.com/2022/10/11/polonium-targets-israel-creepy-malware/" target="_blank">ESET</a> はこの脅威グループに関する包括的な調査結果を発表し、その中には100を超える悪質なファイルのハッシュが<a href="https://github.com/eset/malware-ioc/tree/master/polonium" target="_self">含まれていました</a>。それらのファイルのうち、さらに分析できる13のサンプルが公開マルウェアレポジトリで見つかりました。Deep Instinctの脅威リサーチチームは、公開されたサンプルを分析する過程で、公開された元のファイルにはなかったポロニウムの武器庫からさらに3つのサンプルを発見しました。Deep Instinctは、ポロニウムが調査を困難にするために小さなコンポーネントを使用していること、また、検知を困難にするために多層の攻撃フローを使用していることを発見しました。Deep Instinct 脅威リサーチチームが発見したサンプルは、オリジナルのポロニウム攻撃ツールの追加コンポーネントと代替手段を明らかにしています。以下に、新しい手法の概要を説明します。<h3>#その1：追加のMegaCreepローダー：</h3>ESETのレポートでは、MegaCreepローダー（md5: 287007b3b0c0762f79e3b8a1cf2cef86） が、MegaCreepバックドアのメインコードを含んでいるとされる外部コンポーネントファイルである "MainZero" を呼び出していると解説されています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt58f28e95223a9e65" alt="図1：右側 - 新しいMegaCreepローダー、左側 - ESETが解析したMegaCreepローダー" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt58f28e95223a9e65/638e7680196547511e1c392e/fig01-new-megacreep-loader.png" /><figcaption style = "text-align: center;" style="text-align: center;">図1：右側 - 新しいMegaCreepローダー、左側 - ESETが解析したMegaCreepローダー</figcaption></figure>Deep Instinctが発見した「新しい」ファイル（md5: 19fe1fd29122a5092f7b680e5762fc19 ）は、MegaCreep用の別のローダーである可能性が高いです。この2つの主な違いは、見つかった新しいローダーは、それ自体では永続化のためのサービスを作成する機能を持っていないことです。しかし、VirusTotalの”End-user Sightings”機能のおかげで、サービスを持たないバージョンには、"MicrosoftMegUpdate "という名前の自動起動レジストリキーパーシスタンスがあることが分かります。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt294e3a195ca15b9d" alt="図2：MicrosoftMegUpdateの永続性" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt294e3a195ca15b9d/638e7680b250891091612361/fig02-MicrosoftMegUpdate_-persistence.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：MicrosoftMegUpdateの永続性</figcaption></figure>ディスク上でファイルが観測されたパスは、Users AppDataサブフォルダ内です：<figure style = "margin: auto; text-align: center;width: 389px;"><img asset_uid="bltec660442e09b0027" alt="図3："TaskManager.exe"が野放しで観測されたパス、VirusTotal" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltec660442e09b0027/638e76809ec8cb5e23a5b1e3/fig03-paths-taskmanager-exe-observed-in-wild.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図3："TaskManager.exe"が野放しで観測されたパス、VirusTotal</figcaption></figure>コンポーネント間のつながりを可視化するために、Maltegoグラフを作成しました：<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt0e4bff5a6654ae7e" alt="図4：MegaCreep Loaderと各コンポーネントの関係グラフ" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt0e4bff5a6654ae7e/638e7680c1672c63e5e718bc/fig04-relationship-graph-megacreep-loader.png" /><figcaption style = "text-align: center;" style="text-align: center;">図4：MegaCreep Loaderと各コンポーネントの関係グラフ</figcaption></figure>“MainZero”は公開されていないため、このグラフには他のコンポーネントが欠けている可能性があります。また、”MainZero”には、いくつかの異なるバージョンが存在する可能性があります。<h3>#2：新種のマルウェア「Creepy」の可能性がある追加ファイル:</h3>Deep Instinctは、追加ファイルの検索中に、ポロニウムが使用する2つの追加ファイルを特定しました。この2つのファイルは、先に述べたMegaCreepローダーとともに、同じ日にイスラエルからSysinternalsを使用して数秒間隔でアップロードされました。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt570ade9f628c8572" alt="図5：2022-09-23 16:01にイスラエルからアップロードされたファイルのVirusTotal結果" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt570ade9f628c8572/638e7680b6458e671e0c0157/fig05-virustotal-results.png" /><figcaption style = "text-align: center;" style="text-align: center;">図5：2022-09-23 16:01にイスラエルからアップロードされたファイルのVirusTotal結果</figcaption></figure>これは、誰かが感染したシステムの初期トリアージを行っていたことを示している可能性が高いということです。この追加ファイルは、ほとんどのポロニウム マルウェアと同様に、.NETで記述されています。さらに、このファイルは、先に述べた”MegaCreep”ローダーと同じマシンに出現しています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt15bc55dc4295ffd6" alt="図6："RLVBUp.exe "が観測されたパス群" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt15bc55dc4295ffd6/638e7680b477ba0429bf0cbb/fig06-paths-rlvbup-exe-observed-in-wild.png" /><figcaption style = "text-align: center;" style="text-align: center;">図6："RLVBUp.exe "が観測されたパス群</figcaption></figure>ポロニウムは、複数のコンピュータで同じファイルを再利用していますが、図5に見られるように、マルウェアを実行するパスをランダムに変えているのが興味深い点です。しかし、常に "AppData "下の何らかのサブフォルダにあるようです。また、どちらのファイルも "Microsoft.VisualBasic.CompilerServices" ライブラリを使用し、ClassVB.dll または ClassVB2.dll という名前の外部コンポーネントをインポートしています。これは、C#だけでなく、VisualBasicのコンポーネントを使用したことを示していると思われます。また、ClassVBのDLLは公開されていないため、正確な機能は不明です。”MegaCreep”の亜種か、これまで確認されていない”VBCreep”のバックドアである可能性があります。<h3>#3: RLVB.exe:</h3>このファイルのコードは非常に短く、"ClassVB.dll "に存在する主要な機能に対するローダーです。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="bltc0a2a46dc730badc" alt="図7：外部ClassVBコンポーネントを使用したRLVBコード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc0a2a46dc730badc/638e768069941f33dd187d8e/fig07-rlvb-code-thar-using-external-classvb.png" /><figcaption style = "text-align: center;" style="text-align: center;">図7：外部ClassVBコンポーネントを使用したRLVBコード</figcaption></figure>このファイルには自動起動のレジストリキーがありますが、"HKCUOFTWARE" の下にあります。RLVBUp.exe このファイルもVisualBasicを使用しており、"RLVB.exe "と似た名前の外部ファイルをインポートしています。ここにも自動起動レジストリキー "HKCUSOFTWARE⇄MicrosoftWindowsCurrentVersion⇄Run⇄CLVB11Update "が存在します。このファイルは、ESETの調査で "MegaCreep "の一部として言及されている "PRLib.dll "をインポートしています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="bltba100281c55838f1" alt="図8：外部ClassVB2コンポーネントとPRLibを使用したRLVBUpのコード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltba100281c55838f1/638e76812253035cc6d42d2f/fig08-rlvbup-code-using-external-classvb2-prlib.png" /><figcaption style = "text-align: center;" style="text-align: center;">図8：外部ClassVB2コンポーネントとPRLibを使用したRLVBUpのコード</figcaption></figure>RLVBUpは、"WindMin.dll" と "UnInstall.dll" という2つの外部ファイルからデータの読み書きを行っています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="bltfac233ee317c1c56" alt="図9：外部ファイル "WindMin.dll "と "UnInstall.dll "を使用しているRLVBUpコード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltfac233ee317c1c56/638e7681b03b1e106d29c87f/fig09-rlvbup-code-thar-using-external-files-windmin-dll-uninstall-dll.png" /><figcaption style = "text-align: center;" style="text-align: center;">図9：外部ファイル "WindMin.dll "と "UnInstall.dll "を使用しているRLVBUpコード</figcaption></figure>"##"による置換機能は、"MegaCreep "のものと<a href="https://www.welivesecurity.com/wp-content/uploads/2022/10/Figure-8.-Example-of-MegaCreep-calling-methods-from-separate-DLLs.png" target="_blank">同様</a>である。外部ライブラリのほとんどはカスタムライブラリであり、一般には公開されていません。そのため、その機能は完全には解明されていません。“RLVBUp”は”PRLib”を使用しているため、”MegaCreep”に関連するモジュール、あるいは異なるポロニウム バックドアの間で共有されるモジュールである可能性があります。現在知られているすべてのつながりを視覚化するために、私たちは別のMaltegoグラフを作りました。<figure style = "margin: auto; text-align: center;width: 389px;"><img asset_uid="blt9109d3b8387fbb20" alt="図10：PRlibによるファイル間関係グラフ" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9109d3b8387fbb20/638e7680e133455e0fe8d89b/fig10-relationship-graph-between-files-using-prlib.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図10：PRlibによるファイル間関係グラフ</figcaption></figure><h3>まとめ</h3>ポロニウムはつい最近発見された攻撃グループで、イスラエル企業への攻撃に特化しています。彼らの攻撃ツールの既知のコンポーネントをすべてマッピングすることは、セキュリティチームが類似の活動を特定するのに役立ち、不足しているパズルのパーツを明らかにすることにつながるかもしれません。<h3>IOC</h3><table><thead class="bg-grey"><tr><th></th><th>MD5 Hash</th></tr></thead><tbody><tr><td>TaskManager.exe</td><td>19fe1fd29122a5092f7b680e5762fc19</td></tr><tr><td>RLVB.exe</td><td>dbec8d9a3ea34d69733e7f5f5134f62d</td></tr><tr><td>RLVBUp.exe</td><td>a544bb442fe4342e300bc8beaef66796</td></tr></tbody></table>&nbsp;

ポロニウムAPTグループ：新しい”元素”を暴く

iranian-threat-actor-blog.png

イランの脅威者、大量搾取ツールの開発を継続中

Arid-Gopher.jpg

Arid Gopherとは？これまでになかった新しいマルウェアの分析

Ukrainian-Cyberattack.png

概要
1月13日夜、外務省を含むウクライナ政府の複数のウェブサイトが、ハッキングされる事件が発生しました。これらのサイトのメインページには、挑発的なメッセージがウクライナ語、ロシア語、ポーランド語の3カ国語で掲載されました。
これと並行して、ウクライナ政府の一部のインフラがワイパー型マルウェアに攻撃されました。ウクライナ国立サイバーセキュリティセンターは、この攻撃を "Operation Bleeding Bear "と命名しました。ウクライナがディスクワイパー攻撃に遭うのは今回が初めてではなく、2015年には BlackEnergy、2016年には Industroyer、2017年には NotPetya の被害に遭っています。 1月15日、マイクロソフトはワイパー攻撃に関する第一回目の調査結果を共有し、攻撃に使用されたStage1およびStage2のマルウェアのインジケータを提供しました。


マイクロソフトは、攻撃者が Impacket 経由でStage1のマルウェアを起動したことに言及し、攻撃者が事前にネットワークにアクセスし、環境内部を横移動するために様々なハッキングツールを導入したことを明らかにしました。

Impacket は、ネットワークプロトコルを操作するためのオープンソース Python クラスの集りです。一部のクラスでは、コマンドを実行するコンピュータに有効なユーザー名とパスワードが提供されている場合、リモートでコードを実行することができます。

以下は、この攻撃がどのように展開されたかの詳細です。

Stage1 (a196c6b8ffcb97ffb276d04f354696e2391311db3841ae16c8c9f56f36a38e92)
Stage1 は、MBR ワイパーマルウェアです。MBR とは、Master Boot Record の略で、ハードディスクの第1セクターのことです。最近のコンピュータは、MBR の代わりに GPT を使用していることが多いので、注意が必要です。

実行ファイルは、MingW GCC を使用してコンパイルされています。
 

<figure><img data-image="xe0jujw6jov6" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta4ffa82f4b452884/61f0748daead2b14ab940241/figure1-ukraine-wiper-stage1-compiler-information.png" data-sys-asset-uid="blta4ffa82f4b452884" alt="figure1-ukraine-wiper-stage1-compiler-information.png"><figcaption>図1：Stage1 のコンパイラ情報</figcaption></figure>

このマルウェアは、「PhysicalDrive0」へのハンドルを作成し、MBR の内容を上書きするだけで、元のOSを起動できなくする「wiping」を実現しています。

「PhysicalDrive0 」は、コンピュータに接続された最初の物理ドライブの第1セクタにマッピングされます。前述の通り、ここに MBR が存在します。<figure><img data-image="yxaae5wnlo71" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt6a3c2de25c2a6b75/61f09ed108a5057151494c6e/figure2-ukraine-wiper-code-snippet-responsible-to-mbr-overwrite.png" data-sys-asset-uid="blt6a3c2de25c2a6b75" alt="figure2-ukraine-wiper-code-snippet-responsible-to-mbr-overwrite.png"><figcaption>図2：MBR の上書きに関与するコードスニペット</figcaption></figure>

マルウェアは、変数「data_404020」の内容で MBR を上書きします。


<figure><img data-image="io0h8tznx7in" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc46b4859525f90ac/61f09ed008a5057151494c6a/figure3-highlighted-code-showing-what-will-be-written-to-the-mbr.png" data-sys-asset-uid="bltc46b4859525f90ac" alt="figure3-highlighted-code-showing-what-will-be-written-to-the-mbr.png"><figcaption>図3：MBR に書き込まれる内容を示す強調表示されたコード</figcaption></figure>
「data 404020 」には、上書きされた MBR でコンピュータが起動したときに表示される身代金メモが含まれています。



<figure><img data-image="xyv87eokwp2e" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt8b071402e0f03806/61f09ed3e30aaf137e48cc54/figure4-the-actual-data-that-will-be-written-to-the-mbr.png" data-sys-asset-uid="blt8b071402e0f03806" alt="figure4-the-actual-data-that-will-be-written-to-the-mbr.png"><figcaption>図4：実際に MBR に書き込まれるデータ</figcaption></figure> 

Stage2 (dcbbae5a1c61dbbbb7dcd6dc5dd1eb1169f5329958d38b58c3fd9384081c9b78)
これは、難読化された .NET 実行ファイルです。InfoSec 専門家の複数のツイートで見つかった情報によると、これはさまざまな電子犯罪キャンペーンで使用される汎用ダウンローダーです。

この特定のサンプルは、ユーザーがファイルを送信できる人気のチャットアプリであるDiscord から、拡張子が .jpg のファイルをダウンロードします。Discord は、悪意のあるファイルを配布するために悪用されることで知られています。

<figure><img data-image="73llmh6a8ffp" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltea10e10869dbd159/61f09ed0fb66f771578d71f8/figure5-download-url-from-discord.png" data-sys-asset-uid="bltea10e10869dbd159" alt="figure5-download-url-from-discord.png"><figcaption>図5：Discord からのダウンロード URL</figcaption></figure>
ダウンロードしたファイル（923eb77b3c9e11d6c56052318c119c1a22d11ab71675e6b95d05eeb73d1accd6）は、実は、.jpg の画像ファイルではありません。このファイルを hex エディタで開いてみると、ファイル全体がミラーリングされていることがわかります。



<figure><img data-image="wiz6c4jx5qp1" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltaaf5cfa4de60bee7/61f09ed3b1c6de35becb9cfc/figure6-end-of-the-downloaded-file-in-hex-editor.png" data-sys-asset-uid="bltaaf5cfa4de60bee7" alt="figure6-end-of-the-downloaded-file-in-hex-editor.png"><figcaption>図6：ダウンロードしたファイルの終了を hex エディタで表示</figcaption></figure>
これは、実行ファイルの MZ ヘッダであり、このヘッダは先頭にあるべきものです。

マルウェアは、ダウンロードしたファイルの内容を「反転」させる役割を果たす「InsertItem」機能を備えています。<figure><img data-image="p6cbb2t9ck1y" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt70bfe23a043355cc/61f09ed0904d97138098381f/figure7-insert-item-function-code.png" data-sys-asset-uid="blt70bfe23a043355cc" alt="figure7-insert-item-function-code.png"><figcaption>図7：InsertItem 関数のコード</figcaption></figure>
内容を反転させた後、実際の Stage3 のペイロードを得る。

最後に、Stage2 が Stage3 を反射的にロードする。<figure><img data-image="i3q1tcnxltlj" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltd9bb4c27b6ef8515/61f09ed25b8f60514d374359/figure8-calling-method-from-stage-3.png" data-sys-asset-uid="bltd9bb4c27b6ef8515" alt="figure8-calling-method-from-stage-3.png"><figcaption>図8：ステージ3からのメソッド「Ylfwdwgmpilzyaph」の呼び出し</figcaption></figure>
 Stage3 (9ef7dbd3da51332a78eff19146d21c82957821e464e8133e9594a07d716d892d)



これはまた別の難読化された. NET ファイルであります。今回は DLL です。このファイルは 「Eazfuscator 」を使って難読化されています。

前述のように、Stage2 はこの DLL から「Ylfwdwgmpilzyaph 」という名前のメソッドを呼び出しています。

<figure><img data-image="3jsdxo1bqapi" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt0157abd2dc8a5f56/61f09ed208a5057151494c72/figure9-Ylfwdwgmpilzyaph-code.png" data-sys-asset-uid="blt0157abd2dc8a5f56" alt="figure9-Ylfwdwgmpilzyaph-code.png"><figcaption>図9：「Ylfwdwgmpilzyaph」のコード</figcaption></figure>
 このファイルには3つのリソースが含まれています。



<figure><img data-image="w6i7xra38u7f" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt347526e12717d22d/61f09ee65b8f60514d374361/figure10-Ylfwdwgmpilzyaph-eventually-reads-resource-7c8cb5598e724d34384cce7402b11f0e.png" data-sys-asset-uid="blt347526e12717d22d" alt="figure10-Ylfwdwgmpilzyaph-eventually-reads-resource-7c8cb5598e724d34384cce7402b11f0e.png"><figcaption>図10：リソース "7c8cb5598e724d34384cce7402b11f0e "をロードするコード</figcaption></figure>


「EazFixer」を使って、デコードされた DLL ファイル（35feefe6bd2b982cb1a5d4c1d094e8665c51752d0a6f7e3cae546d770c280f3a）を受け取ることが出来ました。

デコードされた DLL には、2つのリソースが含まれています 

<figure><img data-image="3xu5y2kp02uz" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltaa657d4825847e3f/61f09edd5b8f60514d37435d/figure11-resources-in-decoded-dll.png" data-sys-asset-uid="bltaa657d4825847e3f" alt="figure11-resources-in-decoded-dll.png"><figcaption>図11：復号化した DLL に含まれるリソース</figcaption></figure>
「AdvancedRun」は、システム管理者が使用する正規アプリケーション「AdvancedRun.exe」を含む gzip 形式のアーカイブです。<figure><img data-image="uv5blf9fekbv" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt279cfb3109bc3811/61f09ee6fb66f771578d71fc/figure12-official-advancedrun-usage-examples.png" data-sys-asset-uid="blt279cfb3109bc3811" alt="figure12-official-advancedrun-usage-examples.png"><figcaption>図12：AdvancedRun の公式使用例</figcaption></figure>
この場合、Windows Defender を停止し、削除して悪用されます。

「Waqybg」リソースは、最終段階であるファイル破壊マルウェアを含む「逆引き」 gzip アーカイブ（discord からダウンロードした .jpg と同じ方法）です。 
Stage4 (34ca75a8c190f20b8a7596afeb255f2228cb2467bd210b2637965b61ac7ea907)

このファイルも Stage1 のペイロードと同じ MingW GCC でコンパイルされています。

<figure><img data-image="damlj8rah9vs" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt50d75c5614c34d81/61f09ee6e30aaf137e48cc58/figure13-stage4-compiler-information.png" data-sys-asset-uid="blt50d75c5614c34d81" alt="figure13-stage4-compiler-information.png"><figcaption>図13：Stage4 のコンパイラ情報</figcaption></figure>
マルウェアは、すべてのハードディスクにある特定の拡張子を探し、その特定の拡張子で部分的に上書きされたファイルを探しています。



.HTML .HTM .PHTML .PHP .JSP .ASP .PHPS .PHP5 .ASPX .PHP4 .PHP3 .DOC .DOCX .XLS .XLSX .PPT .PPTX .PST .MSG .EML .TXT .CSV .RTF .WKS .WK1 .PDF .DWG .JPEG .JPG .
DOCM .DOT .DOTM .XLSM .XLSB .XLW .XLT .XLM .XLC .XLTX .XLTM .PPTM .POT .PPS .PPSM .PPSX .HWP .SXI .STI .SLDX .SLDM .BMP .PNG .GIF .RAW .TIF .TIFF .PSD .SVG .CLASS .JAR .SCH .VBS .BAT .CMD .ASM .PAS .CPP .SXM .STD .SXD .ODP .WB2 .SLK .DIF .STC .SXC .ODS .3DM .MAX .3DS .STW .SXW .ODT .PEM .P12 .CSR .CRT .KEY .PFX .DER .OGG .JAVA .INC .INI .PPK .LOG .VDI .VMDK .VHD .MDF .MYI .MYD .FRM .SAV .ODB .DBF .MDB .ACCDB .SQL .SQLITEDB .SQLITE3 .LDF .ARC .BAK .TAR .TGZ .RAR .ZIP .BACKUP .ISO .CONFIG<figure><img data-image="315yyuvjjfkf" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta4fac3a4a0513beb/61f09ee7ac70415152966154/figure14-delete-command-and-partial-extension-list.png" data-sys-asset-uid="blta4fac3a4a0513beb" alt="figure14-delete-command-and-partial-extension-list.png"><figcaption>図14：Delete コマンドと部分的な拡張子リスト</figcaption></figure>



次に、破損したファイルの拡張子をランダムなものに変更します。終了後、マルウェアはcmd.exe を呼び出して自分自身を削除し、ping コマンドを発行して5秒間スリープさせます。

最後に、現在のユーザーをログオフさせ、ステータスコード14（ネットワーク接続）を表示してコンピューターをシャットダウンさせます。

<figure><img data-image="pn3w2ykacjfu" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltdf71ec22f847a4fd/61f09ee65425f4730f02f953/figure15-exit-route.png" data-sys-asset-uid="bltdf71ec22f847a4fd" alt="figure15-exit-route.png"><figcaption>図15：Exitルーチン</figcaption></figure>
 まとめ


ステージ1のマルウェアは C 言語で書かれており、MBR を破壊し、コンピュータのオペレーティングシステムをロードできないようにするために使用されます。

Stage2 のマルウェアは、Stage3 のマルウェアをロードするために使用され、これらは両方とも. NET で記述されています。同様のローダーが観察されていますが、これらは一般的なものであり、この脅威者に固有のものではないと考えられています。

Stage3 マルウェアは、Stage1 マルウェアと同様に C 言語で記述された Stage4 をロードします。

Stage 4のマルウェアは、ハードディスク上の重要なファイルを破損させるために使用されます。

Stage 1 または Stage 4 が正しく実行されない場合、部分的な復旧は可能かもしれませんが、この2つの組み合わせが成功すると、復旧する手段はなくなりすべての重要なデータがほぼ確実に破損することになります。

付け加えておくと、マルウェアはファイルを暗号化するのではなく、単に破壊するだけなので、身代金請求書はフェイクなのです。

ディープインスティンクトvs今回の攻撃

Deep Instinct製品に対して、今回Stage1のマルウェアの起動で用いられたような、ランダムな Impacket の wmiexec バイナリをテストしましたが、ブロックされることを確認しています。 

<figure><img data-image="us95wp6rjz6l" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt393a5361bcbd6c4a/61f09ee5a96c4414ac4344b3/figure16-wmiexec-being-blocked.png" data-sys-asset-uid="blt393a5361bcbd6c4a" alt="figure16-wmiexec-being-blocked.png" width="763" height="289" style="width: 763px; max-width: 763px; height: 289px;"><figcaption>図16：ブロックされる wmiexec</figcaption></figure>


また、今回の攻撃に使われた4つステージのマルウェアサンプルもテストしましたが、すべてブロックされました。

<figure><img data-image="8rzpaynj71vp" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt53e818671b7f5a4f/61f09ee6afb93073090450fc/figure17-stage-1-is-being-blocked.png" data-sys-asset-uid="blt53e818671b7f5a4f" alt="figure17-stage-1-is-being-blocked.png"><figcaption>図17：Stage 1 マルウェアをブロック</figcaption></figure>
<figure><img data-image="cd5hzzewosvd" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc205fe1c05509f91/61f09ee61e207a3729b8f44c/figure18-stage-2-is-being-blocked.png" data-sys-asset-uid="bltc205fe1c05509f91" alt="figure18-stage-2-is-being-blocked.png" width="763" height="321" style="width: 763px; max-width: 763px; height: 321px;"><figcaption>図18：Stage 2 マルウェアをブロック</figcaption></figure>
<figure><img data-image="0ln1w774jsjv" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt86dc9d5201b9c728/61f09f6008a5057151494c7e/figure19-stage-3-is-being-blocked.png" data-sys-asset-uid="blt86dc9d5201b9c728" alt="figure19-stage-3-is-being-blocked.png" width="763" height="316" style="width: 763px; max-width: 763px; height: 316px;"><figcaption>図19：Stage 3 マルウェアをブロック</figcaption></figure>
<figure><img data-image="8mi7s3ksusyq" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt139ccac84f4cdeb8/61f09f60fb66f771578d7200/figure20-stage-4-is-being-blocked.png" data-sys-asset-uid="blt139ccac84f4cdeb8" alt="figure20-stage-4-is-being-blocked.png" width="760" height="303" style="width: 760px; max-width: 760px; height: 303px;"><figcaption>図20：Stage 4マルウェアをブロック</figcaption></figure>
Deep Instinct のお客様は、これまで多くのブログやレポートでもご紹介しているように、様々なワイパーマルウェアから保護されています。このプラットフォームが実際に動作している様子をご覧になりたい方は、こちらからデモをリクエストしてください。 <a href="https://www.deepinstinct.com/ja/request-a-demo">https://www.deepinstinct.com/ja/request-a-demo</a>

ウクライナに対するサイバー攻撃 について知っておくべきこと

Simon Kenin

From Simon Kenin.

悪意のあるJARファイルとPolyglot ファイル: 悪性JARって何なんジャー

新しいMuddy Waterの脅威：新しい泥水はさらに濁っている

ポロニウムAPTグループ：新しい”元素”を暴く

イランの脅威者、大量搾取ツールの開発を継続中

Arid Gopherとは？これまでになかった新しいマルウェアの分析

ウクライナに対するサイバー攻撃について知っておくべきこと

製品

ソリューション

Deep Instinctが信頼される理由

会社概要

リソース

クイックリンク

Simon Kenin

From Simon Kenin.

悪意のあるJARファイルとPolyglot ファイル: 悪性JARって何なんジャー

新しいMuddy Waterの脅威：新しい泥水はさらに濁っている

ポロニウムAPTグループ：新しい”元素”を暴く

イランの脅威者、大量搾取ツールの開発を継続中

Arid Gopherとは？これまでになかった新しいマルウェアの分析

ウクライナに対するサイバー攻撃 について知っておくべきこと

ウクライナに対するサイバー攻撃について知っておくべきこと